subdomain - 使用通配符 ssl 证书签署其他证书

Question

是否可以使用通配符 SSL 证书来签署其他证书？

即我已经为 *.example.com 购买了根签名的通配符证书

我想允许第三方在 thirdparty.example.com 上为我提供服务。

我是否可以为 thirdparty.example.com 创建证书并使用我的 *.example.com 证书对其进行签名？还是我必须为第三方购买单独的证书。

如果这不可能，是否可以购买域签名证书？明确一点，我只想为 .example.com 签署证书，而不是根级别 (.com) 签署证书。

Answer 1

不，你不能(虽然在技术上是可行的，但行不通)。因为证书签名证书必须有两个具有以下值的扩展名:

1. Basic Constraints 必须设置为 CA=True 并标记为关键
2. KeyUsages 扩展必须启用 keyCertSign 和 cRLSign 位。

is it possible to buy a domain-signing-cert?

是的，这是可能的，但是这对您来说会非常昂贵(如果您不打算颁发大量证书)。因为你将不得不为这项服务付出巨大的代价，购买所需的硬件(HSM 是强制性的)，编写文档(至少是 CPS)并进行外部审计以验证你是否符合供应商的 CPS(证书实践声明)。前段时间我写了一篇关于根证书签名的文章:Certification Authority Root Signing .

HTH